Symfony用户认证由security.yaml的firewalls配置驱动，需确保pattern匹配路径、login_path/check_path未被防火墙覆盖、provider存在且User类实现UserInterface并正确哈希密码。
用 security.yaml 配置用户认证入口点
Symfony 的认证不是靠写一堆登录逻辑启动的，而是靠 security.yaml 中的 firewalls 配置决定“谁在什么路径下被拦住、怎么验”。默认生成的配置里 main 防火墙通常已启用 form_login，但容易忽略的是：pattern 必须匹配请求路径，否则整个防火墙不生效；login_path 和 check_path 必须是未受保护的路由（不能在 main 防火墙覆盖范围内），否则会重定向循环。
常见错误现象：Too many redirects 或表单提交后 404 —— 多半是 check_path 被防火墙拦截了，或路由没定义。
-
check_path对应的路由必须是POST，且不能加is_granted()检查 - 如果用 API 场景，把
json_login替换form_login，但需确保前端发送Content-Type: application/json -
provider必须指向一个已声明的用户提供者（如user_provider: 'app_user_provider'），否则启动时报The user provider "xxx" does not exist
让 User 类实现 UserInterface 并处理密码哈希
Symfony 不强制你继承某个基类，但必须让实体实现 UserInterface，并正确返回 getPassword()、getSalt()（若用 legacy bcrypt 可返回 null）、getRoles()。关键点在于：密码字段在数据库中必须是哈希值，不能明文存；且 password 属性不能直接映射为数据库字段（除非你手动哈希），推荐用 plainPassword 作为临时属性，再通过 Doctrine lifecycle callback 或自定义 setter 哈希后存入 password 字段。
常见错误现象：登录总是失败，但日志显示 Invalid credentials —— 很可能是 getPassword() 返回了明文或空字符串，或哈希时漏掉了 $this->passwordEncoder->encodePassword($user, $plainPassword) 调用。
- 别在
__construct()里调用encodePassword()，因为反序列化用户时也会执行 -
getRoles()必须返回字符串数组，哪怕只有['ROLE_USER']；空数组会导致认证失败 - 若用
make:user命令生成用户类，它默认用PasswordAuthenticatedUserInterface，注意getUserIdentifier()要返回唯一字段（如email）
用 is_granted() 和 @IsGranted 控制访问权限
授权不是认证的延伸，而是独立决策：认证解决“你是谁”，授权解决“你能干啥”。is_granted('ROLE_ADMIN') 是最基础的角色检查，但硬编码角色名容易散落各处。更可控的方式是定义自定义权限（如 'EDIT_POST'），并在 Vote 中实现业务逻辑判断 —— 比如只允许文章作者编辑自己的内容。
常见错误现象：页面能打开但功能按钮没权限隐藏，或 @IsGranted 报 403 却没走自定义 voter —— 很可能 voter 没注册为服务，或没加 priority 导致被其他 voter 先否决。
-
@IsGranted('ROLE_EDITOR')写在控制器方法上，等价于方法开头写if (!$this->isGranted('ROLE_EDITOR')) { throw $this->createAccessDeniedException(); } - 自定义 voter 必须实现
VoterInterface，且服务定义中要加tags: [{ name: 'security.voter' }] -
is_granted()在 Twig 模板中可用，但不要在里面做复杂查询，避免 N+1
记住我（Remember Me）为什么总失效
Remember Me 不是开个开关就行。它依赖三个条件同时满足：① remember_me 在防火墙中启用；② 用户登录时勾选了 remember me 表单字段（name 必须是 _remember_me）；③ 服务容器里必须存在 security.token_storage 和 security.authentication.manager，且 session 配置不能禁用 cookie。
最容易被忽略的是密钥配置：secret 参数必须是固定字符串（不能用 %env(APP_SECRET)% 动态读取，否则每次重启环境密钥变，旧 token 全作废）；另外，如果用了 json_login，Remember Me 默认不生效，得手动在登录成功后调用 $rememberMeServices->loginResponse($token)。
-
lifetime单位是秒，默认 31536000（1年），设太短会导致用户频繁重新登录 - 生产环境务必设置
secure: true和same_site: 'strict'，否则 cookie 可能被窃取 - 调用
$this->get('security.token_storage')->getToken()在 Remember Me 场景下可能返回AnonymousToken，需先检查是否已认证
getRoles() 返回了 null。多看 var/log/dev.log 里 security 相关日志，比反复改配置更快定位问题。 
